Dès la première commande, Atelier Lumière collectera de vraies données personnelles : nom, adresse postale, e-mail, et historique d'achat. Ce guide explique ce que Shopify fait de ces données, et ce qui reste de votre responsabilité en tant que marchand établi en France, soumis au RGPD comme toute entreprise qui traite des données de résidents européens.

Ce que Shopify collecte pour vous

Une commande Shopify enregistre automatiquement les informations nécessaires à son traitement : identité, adresse de livraison et de facturation, contenu de la commande, et généralement une trace technique de la visite (comme l'adresse IP), utile en cas de litige ou de fraude. Ces données sont stockées par Shopify, qui agit alors comme sous-traitant technique de vos propres obligations en tant que responsable de traitement.

Ce qui reste de votre responsabilité

Le fait que Shopify héberge techniquement ces données ne vous dispense d'aucune obligation. Selon les recommandations de la CNIL, l'autorité française de protection des données, un site marchand doit notamment informer clairement ses clients de l'usage fait de leurs données, généralement via une page de politique de confidentialité accessible et à jour, ne collecter que les données réellement nécessaires au traitement de la commande, et permettre à un client de demander l'accès, la correction ou la suppression de ses propres données.

La CNIL rappelle aussi une règle de bon sens souvent négligée : ne jamais conserver vous-même les coordonnées bancaires complètes d'un client. C'est précisément le rôle de la passerelle de paiement configurée au guide 16 de sécuriser cette étape ; ne cherchez jamais à contourner ce circuit pour stocker une information bancaire de votre côté.

Créer une page de confidentialité

Comme pour les mentions légales, créez une page dédiée depuis Boutique en ligne > Pages, qui explique en français clair quelles données vous collectez, pourquoi, combien de temps vous les conservez, et comment un client peut vous contacter pour exercer ses droits. La CNIL propose des exemples de formulation pour ce type de page sur cnil.fr, à adapter précisément à votre propre activité plutôt qu'à recopier telle quelle.

Les applications tierces et les données clients

Dès que vous installerez une application (un outil d'e-mailing, un programme de fidélité), gardez en tête qu'elle peut avoir accès à une partie de vos données clients, selon les permissions que vous lui accordez. Le guide 25 de ce parcours, sur les applications Shopify, revient sur ce point ; pour l'instant, retenez simplement qu'ajouter une application n'est jamais neutre du point de vue de la confidentialité de vos clients.

Ce guide ne remplace pas un accompagnement RGPD complet

Le RGPD est un sujet dense, avec des obligations qui varient selon la nature exacte de vos traitements de données. Ce guide donne les bases essentielles pour une petite boutique comme Atelier Lumière ; une activité plus complexe (programme de fidélité élaboré, revente de données à des partenaires, profilage marketing poussé) mérite un accompagnement dédié, au-delà de ce que ce guide peut couvrir.

Comment vérifier que vous êtes prêt sur ce point

Ouvrez votre page de confidentialité publiée : un client doit pouvoir comprendre, en la lisant, quelles données vous collectez et comment vous contacter à ce sujet. Vérifiez aussi qu'elle est bien reliée à votre menu de pied de page, comme vue au guide précédent.

Vérifiez que vous avez compris

Un client vous demande par e-mail de supprimer toutes les données que vous détenez à son sujet. Devez-vous obligatoirement accéder à cette demande, sans aucune exception ?

Pas dans tous les cas. Certaines données, comme celles liées à une facture déjà émise, doivent parfois être conservées pour respecter d'autres obligations légales, notamment comptables, pendant une durée définie. Le droit à la suppression existe bien, mais il se conjugue avec vos autres obligations : en cas de doute sur un cas précis, vérifiez auprès d'un professionnel plutôt que de décider seul.

Chapitre terminé